FIN7

FIN7 es uno de los grupos organizados de cibercrimen más longevos, seguidos por Mandiant desde al menos 2013/2014. Se han observado solapamientos significativos con el denominado Carbanak Group—del que probablemente forma parte o con el que comparte infraestructura e individuos. Como es común en este sector, el grupo recibe múltiples denominaciones según el fabricante: Carbon Spider (CrowdStrike), Sangria Tempest (Microsoft), GOLD NIAGARA (Secureworks), ELBRUS (Mandiant/Google), ITG14 (IBM X-Force) y Coreid. Según estimaciones, las operaciones de FIN7 han costado aproximadamente 1.000 millones de dólares a instituciones financieras y otros sectores a nivel global. Por si este dinero era poco, en abril de 2020 CrowdStrike informó sobre un cambio estratégico en el grupo: pasaron a formar parte del big game hunting (BGH) a través de convertirse en un operador de ransomware.

Volviendo a los inicios del grupo, en sus primeras fases operativas (aproximadamente 2015-2020), se especializaron en el robo de datos de tarjetas bancarias mediante el compromiso de sistemas de punto de venta (PoS) en cadenas de restaurantes, hoteles y comercio minorista, principalmente en Estados Unidos, revendiendo posteriormente los datos de tarjetas en mercados como Joker's Stash. Parte de la operación se ejecutó a través de una empresa fachada llamada Combi Security, que el grupo utilizó como cobertura para reclutar desarrolladores y pentesters sin que estos supieran necesariamente que trabajaban para una organización criminal —un patrón que repetiría posteriormente con la falsa firma Bastion Secure.

El vector de acceso inicial típico del grupo ha sido el spear-phishing con documentos adjuntos maliciosos (malicious attachment de toda la vida) que desplegaban backdoors propios. Entre estos destacan Carbanak (RAT orientado a espionaje y los Point of Sale), Bateleur y Griffon (un implant ligero en JScript). Desde 2020, Mandiant documentó una evolución clara en su arsenal con la introducción de POWERPLANT (también conocido como KillACK), un backdoor modular basado en PowerShell desplegado a través de Griffon, capaz de cargar módulos adicionales como el downloader Birdwatch (variantes Crowview y Fowlgaze) y una herramienta de reconocimiento Easylook.

A partir de abril de 2020, según documentó CrowdStrike, FIN7 realizó un giro estratégico muy notable: abandonó las campañas de bajo volumen contra PoS para adoptar el ya famoso "big game hunting (BGH)" mediante ransomware. El grupo amplió su superficie de ataque incorporando compromisos de cadena de suministro, RDP expuestos, credenciales robadas y explotación de vulnerabilidades como ZeroLogon (CVE-2020-1472) y CVE-2021-31207 en Microsoft Exchange. Este cambio coincidió con su entrada en el ecosistema del ransomware como servicio (RaaS). Por otra parte, CrowdStrike atribuyó a FIN7 la creación y operación del RaaS DarkSide (lanzado en noviembre de 2020) y su sucesor BlackMatter, además de vínculos documentados con REvil y ALPHV/BlackCat. Entre su toolset en post-explotación destacan Cobalt Strike, PowerSploit, Mimikatz, CrackMapExec, AdFind, Kerberoasting y su RAT Lizar, junto al abuso de RMMs como Atera, TightVNC o GoToAssist.

Pese a los arrestos de varios miembros en 2018 y la condena adicional de un desarrollador en 2021, la actividad de FIN7 no se ha interrumpido del todo. En 2024, investigadores de Silent Push identificaron más de 4.000 dominios de phishing vinculados a la infraestructura del grupo, apenas un año después de que el Departamento de Justicia (DoJ) estadounidense declarase una victoria parcial contra la organización. Ese mismo año, BlackBerry documentó campañas dirigidas contra el sector automobilístico estadounidense.

De manera más actual, en 2024 y 2025, se documentó el clúster "GrayAlpha", vinculado directamente a FIN7 por Recorded Future. Este clúster fue descrito como un grupo especializado en la distribución del RAT NetSupport mediante campañas de suplantación de software legítimo—concretamente mediante actualizaciones falsas (y maliciosas) de Google Meet, 7-Zip, Advanced IP Scanner y sitios que imitan a medios como CNN y The Wall Street Journal. GrayAlpha emplea loaders propios como MaskBat (variante de FakeBat) y PowerNet, además del sistema de distribución de tráfico TAG-124, una red de sitios WordPress comprometidos que emplea la técnica ClickFix para engañar a las víctimas. Su infraestructura se apoya en servicios de bulletproof hosting como Stark Industries Solutions. A comienzos de 2025, el grupo lanzó además campañas de malspam distribuyendo un backdoor en Python denominado Anubis, desplegado mediante archivos ZIP alojados en sitios SharePoint.

Mandiant ha llegado a fusionar hasta ocho grupos previamente no categorizados (UNC) bajo la denominación FIN7, con otros 17 adicionales "bajo sospecha" de vinculación, lo que refleja tanto la escala real de la organización como la dificultad de atribución que generan sus múltiples subclusters operativos.